Ordinateur totalement bloqué Résolu

Question

Bonjour, 
Je viens de récupéré l'ordinateur de ma fille qui est tellement infecté que je suis obligé de vous écrire depuis le mien. En effet l'état de cet ordinateur (celui de ma fille) est tel qu'il n'est même pas possible d'ouvrir un site quelconque, à commencer par CCM, parce qu'à peine un navigateur (MozillaFirefox, Google ou Explorer) est-il ouvert qu'une série de renvoi se met en route rendant impossible toute demande dirigée. Je vous remercie de m'aider à nettoyer ce qui est devenu une décharge publique de tous les polluants possibles et imaginables.
Je n'ai évidemment pas pu charger MalwareByte-Antimalware, et en désespoir de cause j'ai activé un truc qui s'appelle "AdvanceSystemProtector" en me disant que si je parviens à balayer un peu de m...., ce sera toujours ça de moins. Mais après ?????
Je compte beaucoup sur vos conseils pour la suite compte tenu de ce fait que je ne peux même pas charger un nettoyeur sur cette bécane.
En vous remerciant beaucoup d'avance.

fabul · Answer

Salut,

Tu peux commencer par télécharger un boot CD comme par exemple Avira Rescue CD en ISO

http://www.avira.com/fr/download?product=avira-rescue-system

Et graver l'iso avec Free ISO burner

http://www.freeisoburner.com/

Booter avec...

Je ne le connais pas personellement, mais son utilisation doit ètre assez simple.

Il y a aussi Kaspersky 

https://support.kaspersky.com/fr/14540

Tessel75 · Answer

Mille merci pour ta réponse.
A l'instant présent, comme je l'ai dit, je fais tourner AdvanceSystemProtector qui était déjà installé et donc n'avait pas besoin d'internet. Pour le moment après 2 heures d'analyses on en est à : 10 infections dans les programmes mémoire + 1078 dans les registres Systèmes + 1560 dans le système de fichiers et Dossiers. Pour dire.
Quand ce sera un peu nettoyé, j'espère pouvoir charger les nettoyeurs habituels.
Cordialement.

fabul · Answer

Et après, Advanced System Protector te demandra de payer pour nettoyer, une arnaque , laisse tomber c'est un rogue...

Tu peux télécharger et copier / transférer a partir d'une clé USB ?

Télécharge Roguekiller 32 ou 64 bit selon le système: https://www.surlatoile.org/RogueKiller/

Utilise le, puis ensuite, nettoie avec Adwcleaner et Malwarebytes.

Ensuite ,télécharge ZHPDiag https://nicolascoolman.eu

"Rechercher" , "Configurer" , "Complet"

Il te donnera un log.

Poste le sur Cijoint et donne moi le lien Cijoint: https://www.cjoint.com/

Tessel75 · Answer

J'ai jeté AdvanceSystemProtector, et de toutes façons je ne l'avais pas utilisé au delà de l'analyse avant paiement. 
AdwCleaner + MalwareAntibyte + RogueKiller c'est fait.
Reste ZHP_Diag, je le lance dès que l'ordi fini de charger des mises à jour.
A plus tard..

Tessel75 · Answer

Ci-dessous le lien pour le rapport ZHP_Diag
	http://cjoint.com/?3IwourHXC9p

fabul · Answer

Lance ZHPFix et colle ce script, puis clic sur GO

Script ZHPFix
SysRestore
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:13822;https=127.0.0.1:13822   =>Hijacker.Proxy
O23 - Service: Performance Optimizer (892cc6a3) . (...) - c:\progra~3\perfor~1\PerformanceOptimizerSvc.dll (.not file.)  =>PUP.PerformanceOptimizer
[MD5.00000000000000000000000000000000] [APT] [{D4CC4EA6-1DD1-4671-BE6B-16C163EE9B99}] (...) -- C:\Users\Port Navalo\AppData\Roaming\webssearches\UninstallManager.exe (.not file.)   [0]  =>Hijacker.WebsSearches
[HKLM\Software\SupraSavings ]  =>PUP.SupraSavings
O43 - CFD: 22/09/2014 - 00:44:02 - [0] ----D C:\Program Files (x86)\RoyaliShopperAPp  =>PUP.RoyalShopperApp
O43 - CFD: 22/09/2014 - 00:44:02 - [0] ----D C:\ProgramData\RoyaliShopperAPp  =>PUP.RoyalShopperApp
O43 - CFD: 22/06/2014 - 17:54:24 - [] ----D C:\Users\Port Navalo\AppData\Local\com
HKLM\SOFTWARE\Microsoft\Tracing\NewPlayerUpdater_RASAPI32  =>Adware.NewPlayer
HKLM\SOFTWARE\Microsoft\Tracing\NewPlayerUpdater_RASMANCS  =>Adware.NewPlayer
HKLM\SOFTWARE\Wow6432Node\Microsoft\Tracing\BrowserSafeguard_RASAPI32  =>PUP.BrowserSafeguard
HKLM\SOFTWARE\Wow6432Node\Microsoft\Tracing\BrowserSafeguard_RASMANCS  =>PUP.BrowserSafeguard
SS - | Auto 10/07/1658 0 |  (892cc6a3) . (...) - c:\progra~3\perfor~1\PerformanceOptimizerSvc.dll
[HKLM\SYSTEM\CurrentControlSet\Services\892cc6a3]   =>PUP.PerformanceOptimizer^
C:\Program Files (x86)\RoyaliShopperAPp   =>PUP.RoyalShopperApp^
C:\ProgramData\RoyaliShopperAPp   =>PUP.RoyalShopperApp^
[HKLM\Software\SupraSavings ]   =>PUP.SupraSavings^
O3 - Toolbar\WebBrowser: (no name) - [HKCU]{7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} Clé orpheline
O69 - SBI: SearchScopes [HKCU] {D944BB61-2E34-4DBF-A683-47E505C587DC} - (eBay) - http://rover.ebay.com
HKLM\SOFTWARE\Wow6432Node\Microsoft\Tracing\BingBar_RASAPI32
[HKLM\Software\Wow6432Node\Microsoft\Tracing\BingBar_RASAPI32]
O17 - HKLM\System\CCS\Services\Tcpip\..\{280ABB43-3FCB-4543-81B6-BCB038CDA4D9}: Domain = wprod.ds.aphp.fr
O17 - HKLM\System\CS1\Services\Tcpip\..\{280ABB43-3FCB-4543-81B6-BCB038CDA4D9}: Domain = wprod.ds.aphp.fr
O17 - HKLM\System\CS2\Services\Tcpip\..\{280ABB43-3FCB-4543-81B6-BCB038CDA4D9}: Domain = wprod.ds.aphp.fr
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: SearchList = wprod.ds.aphp.fr,ds.aphp.fr,sat.aphp.fr,aphp.fr
[HKLM\Software\AD106F7F-AF77-4203-BCBE-0BE123ECBE63]
O43 - CFD: 22/09/2014 - 02:17:57 - [] ----D C:\Program Files (x86)\AD106F7F-AF77-4203-BCBE-0BE123ECBE63
O43 - CFD: 22/09/2014 - 00:51:25 - [] ----D C:\ProgramData\dc7802024b23761f
EmptyCLSID
EmptyTemp

fabul · Answer

Après redémarrage,

Télécharge et installe RegRun Reanimator.

Clic sur "Fix problems".

Clic sur "Scan windows startup...".

Coche la case "Use deep level scanning once (For advanced users)".

Clic sur "Make scan now".

Clic sur "Fix problems"

Si il te proposera d'utiliser "RegGuard",clic sur "Non".

Clic-droit dans le milieu de la fenêtre et choisit "Save to file" pour copier le résultat dans un fichier texte.

Nomme le 1 (tout court), le .txt sera généré automatiquement

Clic sur la flèche verte pour passer a l'item suivant, fait comme pour le premier et nomme le 2, et ainsi de suite avec les autres... 

A la fin, clic sur "Exit".

Poste les résultats.

Tessel75 · Answer

Le rapport après ZHP_Fix 

Rapport de ZHPFix 2014.9.16.7 par Nicolas Coolman, Update du 16/09/2014
Fichier d'export Registre : 
Run by Port Navalo at 22/09/2014 14:36:48
High Elevated Privileges : OK
Windows 7 Home Premium Edition, 64-bit Service Pack 1 (Build 7601)

Corbeille vidée (00mn 06s)

========== Clés du Registre ==========
SUPPRIMÉ:³ Service: 892cc6a3
SUPPRIMÉ:³ HKLM\Software\SupraSavings 
SUPPRIMÉ:³ HKLM\SOFTWARE\Microsoft\Tracing\NewPlayerUpdater_RASAPI32
SUPPRIMÉ:³ HKLM\SOFTWARE\Microsoft\Tracing\NewPlayerUpdater_RASMANCS
SUPPRIMÉ:³ HKLM\SOFTWARE\Wow6432Node\Microsoft\Tracing\BrowserSafeguard_RASAPI32
SUPPRIMÉ:³ HKLM\SOFTWARE\Wow6432Node\Microsoft\Tracing\BrowserSafeguard_RASMANCS
SUPPRIMÉ:³ HKLM\SYSTEM\CurrentControlSet\Services\892cc6a3
SUPPRIMÉ: SearchScopes :{D944BB61-2E34-4DBF-A683-47E505C587DC}
SUPPRIMÉ:³ HKLM\SOFTWARE\Wow6432Node\Microsoft\Tracing\BingBar_RASAPI32
SUPPRIMÉ:³ HKLM\Software\AD106F7F-AF77-4203-BCBE-0BE123ECBE63

========== Valeurs du Registre ==========
SUPPRIMÉ: Toolbar: {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA}

========== Eléments de donnée du Registre ==========
SUPPRIMÉ: R1 Search Page = http=127.0.0.1:13822;https=127.0.0.1:13822
ERREUR TCPIP: SearchList = wprod.ds.aphp.fr,ds.aphp.fr,sat.aphp.fr,aphp.fr

========== Dossiers ==========
SUPPRIMÉ: C:\Users\Port Navalo\AppData\Local\{1FDA711E-9B07-4113-97A8-1CF5125E5D7D}
SUPPRIMÉ: C:\Users\Port Navalo\AppData\Local\{4F36142C-90C2-4ECB-A079-A9F4F40172F7}
SUPPRIMÉ: C:\Users\Port Navalo\AppData\Local\{50058A13-362F-4B1B-9A5C-C5DBA0F03F39}
SUPPRIMÉ: C:\Users\Port Navalo\AppData\Local\{651FC63C-A31D-48DA-A46F-C9098B8E783E}
SUPPRIMÉ: C:\Users\Port Navalo\AppData\Local\{695FD204-EFBF-483D-B417-4E01C339EC87}
SUPPRIMÉ: C:\Users\Port Navalo\AppData\Local\{6D358C44-1556-4E30-B8A5-8F55CE57FDF7}
SUPPRIMÉ: C:\Users\Port Navalo\AppData\Local\{75909F23-4CCF-4D75-BAEE-04EB283ED53F}
SUPPRIMÉ: C:\Users\Port Navalo\AppData\Local\{7E3112D2-7018-4B06-AABE-D34619EEF090}
SUPPRIMÉ: C:\Users\Port Navalo\AppData\Local\{C9D3BBE1-659E-43B9-841B-EAC30A954562}
SUPPRIMÉS Temporaires Windows (3)

========== Fichiers ==========
SUPPRIMÉS Temporaires Windows (7) (44 482 octets)

========== Tache planifiée ==========
SUPPRIMÉ: {D4CC4EA6-1DD1-4671-BE6B-16C163EE9B99}

========== Restauration Système ==========
Aucun Point de restauration du système crée


========== Récapitulatif ==========
10 : Clés du Registre
1 : Valeurs du Registre
2 : Eléments de donnée du Registre
10 : Dossiers
1 : Fichiers
1 : Tache planifiée
1 : Restauration Système


End of clean in 00mn 29s

========== Chemin de fichier rapport ==========
C:\Users\Port Navalo\AppData\Roaming\ZHP\ZHPFix[R1].txt - 22/09/2014 14:36:55 [2641]

Tessel75 · Answer

Le dernier rapport par RegRun Reanimator

Item Name: ezSharedSvc
Author: 
Current Setting: C:\Windows\System32\ezSharedSvcHost.exe
Type: Auto Services

Je me demanded si je n'ai pas raté qqch

fabul · Answer

Regarde si tu a Shared EasyBits services dans Désinstallation de programmes.

Ça "ressemble" a un programme légitime, mais je ne sais pas c'est quoi ou a quoi il sert.

A part ça, le PC va bien ?

Tessel75 · Answer

Pas traces de "Shares EasyBits", ni de "EasyBits" dans aucune des partitions du DD
Pour le reste: Oui, c'est bien. Vitesse de l'internet normale, sans redirection vers des pages parasites, ni d'ouverture intempestive.
Le plus difficile a été le début quand je ne pouvait même plus accéder à l'internet sans 50 pages qui s'ouvraient en même temps. Plusieurs centaines de chevaux de Troie.
Merci de ton aide.

fabul · Answer

ezSharedSvc  ressemble a de la m**** peut être installée d'origine par le fabricant de l'ordinateur.

Si tu veux, tu peux le virer avec Get it out -> Terminate -> Reboot

Si tu veux désinstaller RegRun, juste avant , va dans l'onglet Uninstall Partizan puis clic sur Uninstall Partizan.

Puis clic sur ce fichier .reg https://www.cjoint.com/c/DIwp0hjRA6Y

(Juste pour être sur qu'il est désinstallé proprement.)

Mais c'est un bon détecteur de virus et autres m***** , tu peux le garder.

Enfin, je crois qu'on peux mettre ton sujet en résolu.

Tessel75 · Answer

Pas de trace de"ezSharedSvc ", je n'ai trouvé où il était caché.
Quant à RegRun, je n'ai pas compris la manoeuvre indiquée, je l'ai désinstallé avec le désintallateur de Windows.
Bonne soirée.

fabul · Answer

C'est pas grave, quand mème qu'il laisse de petites traces. clic sur le fichier .reg quand même.

https://www.cjoint.com/c/DIwp0hjRA6Y

Bonne soirée a toi aussi.

Ordinateur totalement bloqué

14 réponses

Discussions similaires

Newsletters